用途：指导组织建立、实施、维护和持续改进符合 ISO/IEC 27001:2022 的 ISMS，覆盖从范围界定到认证的完整生命周期，包括附录A控制选择、风险评估方法、适用性声明（SoA）创建和持续改进。
主要能力：覆盖标准第4至10条管理要求（组织环境、领导力、策划、支持、运行、绩效评价、改进）；处理2022版附录A的93项控制，分为组织（A.5，37项）、人员（A.6，8项）、物理（A.7，14项）、技术（A.8，34项）四类，并涵盖新增的11项控制，如A.5.7威胁情报、A.5.23云服务信息安全、A.8.9配置管理、A.8.10信息删除、A.8.11数据脱敏、A.8.12数据防泄漏、A.8.28安全编码等。
使用方法：按七阶段推进——差距分析与范围界定、风险评估、控制选择与SoA、实施、内部审计与管理评审、认证审核、持续改进。需产出关键文档：ISMS范围文件、信息安全方针、风险评估方法、风险登记册与风险处置计划、适用性声明（SoA）、内部审计报告、管理评审纪要、纠正措施登记册、指标与KPI仪表板。
适用场景：在环境中部署或配置 ISO 27001 实施能力时；建立符合合规要求的安全控制时；构建或改进该领域安全架构时；执行需要此实施的安全评估时。
前置条件：理解信息安全原则与风险管理概念；熟悉组织治理结构和业务流程；了解IT基础设施、网络架构和数据流；可获取 ISO/IEC 27001:2022 和 ISO/IEC 27002:2022 标准文档。
限制与注意事项：常见误区包括范围过宽或过窄、将标准视为打勾式工作、管理层参与不足、未保留控制运行证据、未随威胁态势变化定期重新评估风险、迁移时忽略2022版11项新控制。认证有效期为3年，证书有效期内需进行年度监督审核（第1、2年）及再认证审核（第3年）。可与 ISO 27002:2022、ISO 27005、ISO 27017、ISO 27018、ISO 27701、NIST CSF 2.0、SOC 2 等标准衔接。